Mozillaは2026年9月29日にFirefox 157と、延長サポート版(ESR)の115.42・140.17・153.4を公開し、9月30日にThunderbird 157・140.17・153.4を、10月6日にFirefox 157.0.1を公開しました。社員のPCのブラウザーとメールソフトが、これらの版になっているかを確かめる記事です。
ドイツのBSI(CERT-Bund)は、Firefox・Thunderbirdの注意情報3件(WID-SEC-2026-2458・2911・3132、深刻度はどれも「hoch」=高)を10月11日(UTC)に更新しました。ただしこの3件は、Firefox 153〜155の時期の分です。この記事は、Mozilla公式の最新の情報を中心に書きます。
公式の資料で確かめられたこと
Mozillaのアドバイザリの一覧(2026年10月12日に確認)の並びです。
8件のページを全部開き、公表日・全体のImpact・修正版・CVEの件数を数えました。件数は編集部が数えたもので、右の3列はCVEごとのImpactの内訳です。
| MFSA | 製品 | 修正版 | 公表日 | 全体のImpact | CVE | high | moderate | low |
|---|---|---|---|---|---|---|---|---|
| 2026-97 | Firefox | 157 | 9月29日 | high | 76 | 38 | 29 | 9 |
| 2026-98 | Firefox ESR | 115.42 | 9月29日 | high | 31 | 27 | 4 | 0 |
| 2026-99 | Firefox ESR | 140.17 | 9月29日 | high | 43 | 32 | 11 | 0 |
| 2026-100 | Firefox ESR | 153.4 | 9月29日 | high | 62 | 34 | 20 | 8 |
| 2026-101 | Thunderbird | 157 | 9月30日 | high | 76 | 38 | 29 | 9 |
| 2026-102 | Thunderbird | 140.17 | 9月30日 | high | 44 | 32 | 11 | 1 |
| 2026-103 | Thunderbird | 153.4 | 9月30日 | high | 63 | 34 | 20 | 9 |
| 2026-104 | Firefox | 157.0.1 | 10月6日 | moderate | 1 | 0 | 1 | 0 |
同じCVE番号が複数のアドバイザリに載っているため、件数の合計は取りません。「critical」(最上位)のCVEは、8件のどこにもありませんでした。
Impactの「high」の定義は、Mozillaの一覧ページに書かれています(原文のまま)。
High Vulnerability can be used to gather sensitive data from sites in other windows or inject data or code into those sites, requiring no more than normal browsing actions.
修正の中身
Firefox 157のアドバイザリ(MFSA 2026-97)の76件は、題を見ると、解放後使用(use-after-free)を含むものが32件です。「Sandbox escape」を含むものは15件(high 9件、moderate 6件)、「Privilege escalation」を含むものは8件でした。サンドボックスとは、ブラウザーが危険な処理を隔離しておく仕組みです。
各CVEの欄には、題・報告者・Impact・バグ番号が並びます。どの条件で悪用できるかという説明は、ほとんどの項目に書かれていません。
件数が多いのは、公表のしかたが変わったためです。ページには「内部で見つけたメモリ安全性の脆弱性を1つのCVEにまとめることをやめ、バグ1件ごとにアドバイザリを出す」という趣旨の注記があります。過去の回と件数を単純に比べるのは避けます(編集部の補足)。
10月6日の157.0.1は、MFSA 2026-104に「Mitigation bypass in the File Handling component」(CVE-2026-106016、moderate)の1件です。リリースノートには、ほかにmacOSのダウンロード失敗など3件の修正と、「Security fix.」が書かれています。
悪用の記載
8件のアドバイザリの全文を機械検索し、「exploit」「in the wild」「actively」を探しました。ヒットしたのは、Thunderbirdの3件にある次の注記だけで、悪用の報告ではありません。
In general, these flaws cannot be exploited through email in the Thunderbird product because scripting is disabled when reading mail, but are potentially risks in browser or browser-like contexts.
悪用が確認されているという記載は、確かめたアドバイザリにはありません。
Thunderbirdだけの項目として、「2GB以上のメールを開かせて、ヒープバッファーオーバーフローを起こさせる」CVE-2026-103500(low)が3件に入っています。
ESR 3系列とリリースノート
アドバイザリには、ESR 115.42・140.17・153.4の3つが並んでいます。ESR 115.42.0のリリースノートには、次の記載があります。
Firefox ESR 115 is now supported only on Windows 7-8.1 and macOS 10.12-10.14. Users on other operating systems should use Firefox ESR 140 instead.
ESR 140.17.0と153.4.0のリリースノートは、それぞれ「Firefox 128以降」「Firefox 140以降」の機能追加を含むと書いています。Firefox 157の公開日は9月29日、157.0.1は10月6日です。Firefoxの企業向けページには、通常版は「4週間ごと」、ESRは「長期の安定と、定期的なセキュリティ更新、年1回の大きな更新」という趣旨の説明があります。
